incydent ochrony danych

Incydent ochrony danych to zdarzenie naruszające bezpieczeństwo lub poufność przetwarzanych danych osobowych.

Jak rozpoznać incydent ochrony danych

Incydent ochrony danych to zdarzenie, w którym dochodzi do naruszenia poufności, integralności albo dostępności informacji przetwarzanych przez system komputerowy. Może polegać na nieuprawnionym odczytaniu plików, ich skopiowaniu, zmianie, usunięciu lub czasowej niedostępności. W praktyce źródłem incydentu może być złośliwe oprogramowanie, przejęte konto użytkownika, błędnie skonfigurowany dostęp do folderu sieciowego, zgubiony laptop albo wysłanie dokumentu do niewłaściwego odbiorcy.

Nie każde zdarzenie musi oznaczać potwierdzony wyciek danych. Podejrzane logowanie z nieznanego adresu, nagły wysył dużej liczby plików, uruchomienie nieznanego procesu lub alarm programu antywirusowego są sygnałami wymagającymi sprawdzenia. Incydent może dotyczyć danych zapisanych lokalnie na dysku, w profilu użytkownika, na nośniku USB, w poczcie elektronicznej albo w aplikacji korzystającej z połączenia sieciowego. Kluczowe jest ustalenie, jakie zasoby były dostępne, kiedy nastąpiło zdarzenie i czy dane zostały tylko naruszone, czy również zmodyfikowane.

Najczęstsze techniczne źródła naruszenia

Jednym z typowych mechanizmów jest kradzież danych uwierzytelniających. Hasło może zostać wyłudzone przez wiadomość phishingową, przejęte przez złośliwe rozszerzenie przeglądarki albo ujawnione w wyniku używania tego samego hasła w wielu usługach. Po zalogowaniu napastnik może uzyskać dostęp do poczty, dokumentów, synchronizowanych katalogów lub zapisanych sesji przeglądarki. Ryzyko zwiększa brak uwierzytelniania wieloskładnikowego, nadmierne uprawnienia konta oraz pozostawienie aktywnych kont byłych użytkowników.

Drugą grupę stanowią błędy konfiguracji i awarie urządzeń. Publicznie dostępny katalog, niezaszyfrowany dysk, wyłączone aktualizacje, otwarty port usługi sieciowej lub niewłaściwie ustawione reguły zapory mogą umożliwić dostęp osobie nieuprawnionej. Utrata laptopa nie musi prowadzić do ujawnienia plików, jeżeli pamięć masowa jest zaszyfrowana, a system wymaga silnego uwierzytelnienia. Jeżeli jednak urządzenie działa bez blokady ekranu lub dane znajdują się na niezaszyfrowanym nośniku, samo fizyczne przejęcie sprzętu może mieć znaczenie dla oceny zdarzenia.

Postępowanie z komputerem po wykryciu zdarzenia

Pierwszym działaniem technicznym powinno być ograniczenie dalszego dostępu bez niszczenia śladów. Zainfekowany komputer można odłączyć od sieci przewodowej i bezprzewodowej, ale nie należy pochopnie usuwać plików, czyścić historii zdarzeń ani reinstalować systemu przed zabezpieczeniem informacji diagnostycznych. W zależności od sytuacji warto zachować komunikaty programów ochronnych, listę aktywnych procesów, czas wystąpienia alarmu, adresy nadawców podejrzanych wiadomości oraz informacje o podłączonych nośnikach.

Analiza powinna objąć dzienniki systemowe, logowania do kont, historię zmian plików, zadania uruchamiane automatycznie, połączenia sieciowe i stan aktualizacji. Istotne jest porównanie czasu zdarzeń z działaniami użytkownika. Przy podejrzeniu złośliwego oprogramowania można wykonać skanowanie z zaufanego środowiska, sprawdzić autostart systemu i zweryfikować integralność ważnych plików. Jeżeli doszło do usunięcia lub zaszyfrowania danych, należy najpierw zabezpieczyć nośnik i ustalić zakres zmian, a dopiero później odtwarzać informacje z kopii zapasowej. Kopia powinna pochodzić ze sprawdzonego punktu w czasie i zostać zweryfikowana pod kątem kompletności.

Dokumentowanie i ograniczanie ryzyka powtórzenia

Rzetelna obsługa incydentu wymaga zapisania chronologii zdarzeń: pierwszego sygnału, wykonanych działań, osób mających dostęp do urządzenia oraz zasobów, które mogły zostać naruszone. Przydatne są sumy kontrolne zabezpieczonych plików, kopie logów, numery seryjne urządzeń i informacje o wersjach systemu oraz programów. Takie dane ułatwiają odróżnienie faktycznego dostępu od samej próby ataku. Pozwalają też sprawdzić, czy po odłączeniu komputera nie nastąpiły kolejne logowania albo zmiany w dokumentach.

Po zakończeniu analizy należy usunąć przyczynę zdarzenia, a nie tylko jego widoczny objaw. Może to oznaczać zmianę haseł, unieważnienie aktywnych sesji, włączenie uwierzytelniania wieloskładnikowego, instalację poprawek, ograniczenie uprawnień, szyfrowanie dysku lub przebudowę kopii zapasowych. W komputerze przeznaczonym do dalszej pracy warto sprawdzić stan dysku, pamięci operacyjnej i systemu, ponieważ awaria sprzętu albo niestabilne działanie może utrudniać bezpieczne odzyskanie danych. Diagnostyka i naprawa urządzenia powinny być prowadzone na podstawie udokumentowanych objawów, z zachowaniem oryginalnych nośników i informacji potrzebnych do ustalenia przebiegu zdarzenia.